パスキーとは？

パスキーは、パスワードの代わりとなる固有のデジタル鍵です。作成すると、ペアとなる2つのデジタル鍵が生成されます。1つはクレデンシャルマネージャーに安全に保管され、もう1つはWebサイトやアプリと共有されます。サインインする際、デバイスは顔認証、指紋認証、またはデバイスPINを使って本人確認を行い、手元の鍵を使って安全に本人であることを証明します。あなたの秘密鍵がWebサイトと共有されることは決してありません。

パスワードは、ユーザー自身が記憶しWebサイトに入力する秘密の情報です。一方パスキーは、クレデンシャルマネージャーに保存される固有のデジタル鍵であり、覚えたり手入力したりする必要がありません。すべてのパスキーは作成元のWebサイトやアプリ専用に作られるため、パスワードのように推測されたり、フィッシングで盗まれたり、他のアカウントで使い回されたりすることがありません。

従来の2要素認証（2FA）は通常、パスワードを入力した後にSMSで届くコードやアプリで生成されるワンタイムパスワードを追加で入力する必要があります。パスキーは、あなたがパスキーを所持していること、そして顔認証、指紋認証、デバイスPINによって本人であることを同時に安全に検証するため、パスワードとこれらの追加ステップの両方を置き換えることができます。ただし、Webサイトの実装によっては追加の認証ステップを求められる場合もあります。

FIDO2は、パスキーを支えるオープンな技術標準規格です。細かい技術詳細を覚える必要はありません。「パスキー」はFIDO2によって実現された仕組みの親しみやすい通称であり、異なる企業のOS、Webサイト、アプリ、デバイス、クレデンシャルマネージャー間でも同じように機能する理由がこのFIDO2規格にあります。

物理セキュリティキーにパスキーを保存することはできますが、パスキーを使うために物理キーが必須というわけではありません。一般的なユーザーの多くは、スマートフォンやPCなどのデバイス上のクレデンシャルマネージャーにパスキーを保管しています。物理セキュリティキーはパスキーを保管するための選択肢の1つであり、より強固なサインイン手段を求めるユーザーにとって有用なツールです。

いいえ、送信されません。指紋や顔のデータはお使いのデバイスが本人確認を行うためだけに使用されます。生体認証情報がデバイスの外に出たり、Webサイトやアプリと共有されたりすることは決してありません。

クレデンシャルマネージャー経由でパスキーにアクセスできる環境と、顔認証、指紋認証、デバイスPINなどの本人確認手段が必要です。スマートフォンやPCには最初からクレデンシャルマネージャーが組み込まれているため、ほとんどの場合、新しいアプリなどをダウンロードする必要はありません。

パスワードはサインイン時にWebサイトへ送信される情報です。一方、デバイスのPINは端末内でローカルに本人確認を行うためだけに使われ、Webサイトに送信されることはありません。パスキーを使用する際、デバイスPINはパスキーの使用権限を確認する手段の1つとして機能します。PINやパスコードがWebサイトやアプリに共有されることは一切ありません。

通常は、デバイス内のセキュアストレージ（端末の他の部分から隔離された保護チップ）または利用しているクレデンシャルマネージャーのいずれかに保存されます。保存されたパスワードの内部コードが見えないのと同様に、生の鍵データを直接「見る」ことは通常できません。ただし、アカウント設定やクレデンシャルマネージャーから作成済みパスキーの一覧を確認・管理することは可能です。

いいえ。パスキーはあなた自身のものであり、Webサイトに紐づいているため、Google、Apple、Microsoftが所有するものではありません。各社は写真の保存・同期サービスと同じように、パスキーを保管・同期する仕組みを提供しているに過ぎません。ただし、そのアカウントへのアクセス権を失うと新しいデバイスでパスキーを利用できなくなる可能性がある点には留意してください。それに不安がある場合は、別のクレデンシャルマネージャーにパスキーを保存することもできます。

Webサイトやアプリがパスキーに対応している場合、アカウント設定やセキュリティ設定で「パスキーを作成」または「パスキーを設定」といった項目を探してください。デバイスから顔認証、指紋認証、またはデバイスPINによる本人確認を求められ、完了するとパスキーが作成されてクレデンシャルマネージャーに保存されます。サイトやアプリによっては、サインイン直後に作成を促されることもあります。

多くのWebサイトやアプリが、より安全で簡単なサインイン手段としてパスキーを導入し始めているためです。パスキーを作成しておけば、次回以降パスワードを入力する代わりにパスキーでサインインできるようになります。なお、サイトによってはパスワードがバックアップやリカバリの手段としてそのまま残る場合もあります。

これは通常、パスキーがまだ同期・認識されていない新しいデバイスや別のブラウザからアクセスした場合に起こります。そのデバイスでも一度設定を行えば、パスワードの要求はなくなります。これはWebサイト側の移行プロセスの過渡期によるものであり、パスキー自体に問題があるわけではありません。

一部のサイトではシステムの刷新が完了しておらず、念のために従来の2段階認証を残していることがあります。余分な手順ではありますが害はなく、各サイトの対応が進むにつれて順次廃止されていく見込みです。

パスキーは本来そうした使い方を想定して設計されています。しかし一部のサイトでは、万が一のバックアップやアカウント復旧手段として、常にパスキーでサインインする場合であってもパスワードの設定を義務付けていることがあります。

現在は新しい仕組みにユーザーが慣れる段階にあるため、一部のWebサイトで「パスキーを使用しますか？」といった追加の確認プロンプトが表示されることがあります。パスキーが標準化されるにつれ、顔認証、指紋認証、PINで本人確認を行うだけですぐにサインインできるようになります。

はい、多くのWebサイトやアプリで各パスキーにラベルを付けることができます。これにより、デバイスを紛失した際にどれを削除すべきか判別しやすくなります。ただし、ほとんどのパスキーは複数デバイス間で同期されるため、端末名でラベルを付けると混乱を招く可能性があります。多くのサイトでは保存先のクレデンシャルマネージャー名（Google パスワード マネージャー、Apple パスワード、Bitwardenなど）が自動設定されます。自動入力されない場合は、デバイス名ではなくクレデンシャルマネージャーの名前を付けることをおすすめします。

この通知はWebサイト、ブラウザ、またはクレデンシャルマネージャーのいずれかから表示されているため、解除方法は表示元によって異なります。お使いのブラウザやクレデンシャルマネージャーの「パスキー」「サインイン」または「自動入力」の設定をご確認ください。

パスキーがどこに保存されているかによって異なります。多くのクレデンシャルマネージャーはデバイス間でパスキーを安全に同期するため、スマホで作ったパスキーをノートPCやタブレットでもそのまま利用できます。一部のパスキーは特定の端末にのみ保存され同期されません。操作中の端末にパスキーがない場合でも、スマートフォンなど別の端末にあるパスキーを使ってサインインできる場合があります。

はい。ご利用のクレデンシャルマネージャーが両方のデバイスに対応し、パスキーの同期をサポートしていれば可能です。非対応の場合は、各デバイスのパスキーは独立して管理されます。

クレデンシャルマネージャー間でのパスキー移行サポートは改善されつつありますが、まだすべての環境で利用できるわけではありません。移行できるかどうかは移行元と移行先のクレデンシャルマネージャーの対応状況によります。各ツールの対応状況については、当サイトの評価ガイド（「クレデンシャル交換」機能の項目）をご確認ください。

これはノートPCとスマートフォンがパスキー同期のために連携されており、両方の端末を通じて本人確認を再確認しているために発生します。一見不自然に見えますが、セキュリティ上意図された正常な動作です。

その端末にパスキーを保存することなく、手元のスマートフォンやタブレットのパスキーを使ってサインインできます。サインイン画面で「別のデバイスを使用する」などのオプションを選択してください。画面にQRコードが表示されるので、それをスマートフォンでスキャンしてサインインを続行できます。

利用可能ですが、常にシームレスとは限りません。あるプラットフォームの標準クレデンシャルマネージャーに保存されたパスキーは、別のプラットフォームへ直接同期されない場合があります。たとえばApple パスワードに保存されたパスキーを使ってWindows PCでサインインする場合、iPhoneでQRコードを読み取ってサインインする必要があります。異なるエコシステムの端末やブラウザを日常的に併用している場合は、すべての環境に対応したサードパーティ製クレデンシャルマネージャーを選ぶと利便性が大幅に向上します。デバイス・OS・ブラウザ間の対応状況を比較するには、当サイトの評価スコアをご覧ください。また、既存のパスキーを別のマネージャーへ移行する予定がある場合は、「クレデンシャル交換」カテゴリーで高評価を得ているサービスを選ぶことをおすすめします。

クレデンシャルマネージャーによってパスキーが同期されている場合、新しい端末で同じクレデンシャルマネージャーにサインインするだけで再び利用可能になります。紛失した端末内にのみ保存されていた場合は、別のサインイン方法やアカウント復旧手順が必要になります。常にアカウントへアクセスできるようにするためにも、クラウド同期に対応したクレデンシャルマネージャーの利用が非常に有効です。

パスキーを復旧できるかどうかは、利用しているクレデンシャルマネージャーとその設定内容によって決まります。アカウント復旧、バックアップ、新端末からのアクセス方法はマネージャーごとに異なるため、必要になる前に復旧手順を確認しておくことが重要です。セキュリティ、リカバリ、デジタル遺産への対応比較については当サイトの評価スコアをご覧ください。パスキーを復旧できない場合は、各Webサイトやアプリのアカウント復旧手順を利用する必要があります。

はい、失われません。パスキーは電話番号ではなく、クレデンシャルマネージャーのアカウントまたは端末本体に紐づいているため、通信キャリアを変更しても影響はありません。ただし、古い端末を下取りに出す前に、新しい端末からクレデンシャルマネージャーにアクセスできることを必ず確認してください。

現在、一部のクレデンシャルマネージャーはこの機能に対応していますが、未対応のものもあります。バックアップを完全に自己管理したい場合は、ご利用のクレデンシャルマネージャーのエクスポート機能をご確認ください。

パスキーの保存方法によって異なります。クレデンシャルマネージャーがデバイス間で同期してくれる場合は、基本的に1アカウントにつき1つのパスキーで十分です。パスキーが1台の端末にのみ保存されている場合や、予備のアクセス手段を確保しておきたい場合は、追加のパスキーを作成しておくことをおすすめします。

一部のサイトではセキュリティオプションとしてアカウント設定で提供されていますが、一般的ではありません。ご利用のサイトのセキュリティ設定をご確認ください。

Webサイトやアプリでパスキーが利用できる場合は、積極的にパスキーを使用してください。パスワードを完全に削除できるかどうかはサイト側の仕様によります。パスキー専用アカウントに対応しているサイトもあれば、復旧用手段としてパスワードを残すサイトもあります。パスワードを削除できる場合は、パスキーを紛失した際に備えて信頼できる別のアカウント復旧方法が確保されていることを必ず確認してください。

はい、はるかに安全です。パスキーは、パスワードや確認コードを盗み取るフィッシング詐欺をはじめとする一般的なサイバー攻撃を防ぐよう設計されています。すべてのパスキーは作成元のWebサイトやアプリ専用に作られるため、推測されたり、他のサイトで悪用されたり、偽のWebサイトで誤作動したりすることはありません。

端末に保存されたパスキーを使用するには生体認証（指紋・顔）やPINによる端末のロック解除が必要なため、端末を解除できない限り他人がパスキーを使用することはできません。これはリモートからパスワードを盗み取る手口に比べて、攻撃者にとって格段に困難です。

技術的には判別可能です。ただし日常的な一般的なログインにおいては、どちらも同等に信頼性の高いものとして扱われるため実質的な違いはありません。

リスクは存在しますが、パスワード漏洩のリスクとは性質が異なります。パスキーはパスワードのような使い回し可能な秘密情報ではないため、攻撃者がパスキーを単に盗み出して不正ログインに使うことはできません。また、パスキーはクレデンシャルマネージャー自体の暗号化セキュリティやアクセス端末の保護機能によって強固に守られています。だからこそ、安全なクレデンシャルマネージャーを選ぶことが重要です。各ツールの保護機能の比較については、当サイトの評価スコアをご覧ください。

可能な場合があります。一部のクレデンシャルマネージャーは、家族や信頼できる相手とパスキーを安全に共有する機能を提供しています。共有可能かどうかは、利用しているクレデンシャルマネージャーと、Webサイトやアプリ側がパスキーの共有を許可しているかどうかによって決まります。ファミリー共有への対応状況については、当サイトの評価スコアをご覧ください。

ご利用のクレデンシャルマネージャーによって対応が異なります。一部のマネージャーには、万が一の際に信頼できる家族などがアカウントや認証情報へアクセスできるよう、緊急アクセスや遺産連絡先（デジタル遺産）などの機能が備わっています。これが必要な場合は事前に設定しておく必要があります。各ツールの対応状況については評価スコアをご覧ください。

必ずしもできるとは限りません。クレデンシャルマネージャーの母体となっているアカウントが停止されると、そこを通じて保存・同期されていたパスキーにもアクセスできなくなる可能性があります。どのような対応になるかは提供事業者や設定済みの復旧オプションによって異なります。クレデンシャルマネージャーのアカウント復旧ポリシーを事前に確認しておくことが重要です。詳細は当サイトの比較スコアをご確認ください。

設計上はそのような制限はありません。実際には各クレデンシャルマネージャーのパスキー移行対応はまだ途上ですが、主要なマネージャーの多くはパスキーを含む安全な認証情報移行をすでにサポートしています。「クレデンシャル交換（Credential Exchange）」の標準化は業界全体で急速に進んでいます。評価スコアセクションの「他サービスへの乗り換えができるか」の項目をご確認ください。

基礎となる技術自体は移行をサポートしていますが、すべての企業が簡単に移行できるツールを実装し終えているわけではありません。これは機能実装の進捗による過渡期的な課題であり、パスキーという規格自体の根本的な制限ではありません。

ご指摘の通りです。パスキーは多くのユーザーにとってまだ新しい概念であるため、分かりやすい説明を用意できているWebサイトはまだ多くありません。これは業界全体が直面している課題の1つです。そして、まさにその課題を解決するためにこのWebサイトが存在しています！

パスキーはApple、Google、Microsoftが足並みを揃えて支援する業界共通規格（FIDO2）に基づいているため、一過性の流行ではなく長期的なデファクトスタンダードとなることが確実視されています。今導入しておくことで、現在直面しているセキュリティリスクを確実に減らすことができます。

「デバイスのロックを解除してWebサイトにサインインする」という基本概念が変わることはありません。現在改善が進められているのは、前述したデバイス間同期やクレデンシャルマネージャー間のデータ移行といった取り回しの体験部分です。